Commvault, duyarlı örneklerde uzaktan kod yürütülmesi için kullanılabilecek dört güvenlik boşluğunu ele almak için güncellemeler yayınladı.
11.36.60 öncesi Commvault sürümlerinde tanımlanan güvenlik açıklarının listesi aşağıdaki gibidir –
- CVE-2025-57788 (CVSS Puanı: 6.9) – Bilinen bir giriş mekanizmasındaki bir güvenlik açığı
- CVE-2025-57789 (CVSS Puanı: 5.3) – Kurulum ve ilk yönetici girişi arasındaki kurulum aşamasında, uzak saldırganların yönetici kontrolü kazanmak için varsayılan kimlik bilgilerini kullanmasına izin veren bir güvenlik açığı
- CVE-2025-57790 (CVSS Puanı: 8.7) – Uzaktan saldırganların bir yol geçiş sorunu aracılığıyla yetkisiz dosya sistemi erişimini gerçekleştirmesine izin veren bir yol geçiş güvenlik açığı, uzaktan kod yürütülmesine neden olur
- CVE-2025-57791 (CVSS Puanı: 6.9)-Uzaktan saldırganların, yetersiz giriş doğrulaması nedeniyle dahili bileşenlere aktarılan komut satırı argümanlarını enjekte etmesine veya manipüle etmesine izin veren bir güvenlik açığı, düşük ürkütücü bir rol rolü için geçerli bir kullanıcı oturumu ile sonuçlanır
Watchtowr Labs araştırmacıları Sonny MacDonald ve Piotr Bazydlo, Nisan 2025’te dört güvenlik kusurunu keşfetip raporlamakla kredilendirildi. Tüm bayraklı güvenlik açıkları 11.32.102 ve 11.36.60 sürümlerinde çözüldü. Commvault SaaS çözümü etkilenmez.
Çarşamba günü yayınlanan bir analizde, siber güvenlik şirketi, tehdit aktörlerinin bu güvenlik açıklarını, duyarlı örneklerde kod yürütme sağlamak için iki önceden onaylanmış istismar zincirlerine dönüştürebileceğini söyledi: biri CVE-2025-57791 ve CVE-2025-57790 ve diğeri CVE-2025-5788, CVE-2025-57790.
İkinci Auth Öncesi Uzaktan Kod Yürütme zincirinin, yalnızca yerleşik yönetici parolası kurulumdan bu yana değiştirilmediyse başarılı hale geldiğini belirtmek gerekir.
Açıklama, WatchTowr Labs’ın etkilenen kurulumlarda keyfi kod yürütülmesine izin verebilecek kritik bir Commvault Komuta Merkezi kusuru (CVE-2025-34028, CVSS puanı: 10.0) bildirmesinden yaklaşık dört ay sonra geliyor.
Bir ay sonra, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), vahşi doğada aktif sömürü kanıtı göstererek bilinen sömürülen güvenlik açıklarına (KEV) kataloğuna güvenlik açığını ekledi.